Store navn, svake tall: Norske industrigiganter stryker på e-postsikkerhet — uke 37

Equinor, Hydro og Yara scorer alle 0 av 100 på e-postsikkerhet — og det er ikke de eneste kjente norske merkene som svikter i ukens analyse av 158 domener.

Publisert 7. sep. 2026 · Av Terje Otterlei · 5 min lesetid

Ukens oversikt

158 norske domener er analysert denne uken, og snittscore havner på 64,6 av 100. 85 domener har satt DMARC-policyen til p=reject, noe som gir full beskyttelse mot e-postspoofing. 13 domener mangler DMARC helt.

Fordelingen viser et tydelig mønster: mange domener er enten godt sikret (A/A+) eller nesten uten beskyttelse (D/F). Midtsjiktet er tynt.

Norsk industri tar ikke e-postsikkerhet på alvor

Det mest slående funnet denne uken er ikke ett enkeltdomene — det er en hel bransje. Blant de ti svakest scorende domenene finner vi tre av Norges største og mest kjente industriselskaper:

• equinor.no — F (0 poeng)
• hydro.no — F (0 poeng)
• yara.no — F (0 poeng)

Til disse selskapene kan man legge til aker-solutions.no, som også scorer F. Fire store aktører innen norsk olje, gass, energi og gjødsel — alle uten fungerende DMARC-oppsett. Det er bemerkelsesverdig, særlig tatt i betraktning at disse selskapene er attraktive mål for målrettet svindel og BEC-angrep (Business Email Compromise).

Andre kjente navn på F-listen inkluderer faedrelandsvennen.no, clas-ohlson.no og schenker.no. Se hele sammenligningsoversikten for full kontekst.

De beste holder stillingen

I den andre enden av skalaen scorer flere offentlige etater og spesialistaktører innen e-postsikkerhet maksimalt:

• nav.no — A+ (100p)
• nbim.no — A+ (100p)
• ssb.no — A+ (100p)
• telenor.no — A+ (97p)
• stortinget.no — A+ (97p)

At NAV, Statistisk sentralbyrå og Norges Bank Investment Management alle scorer 100 av 100 viser at det absolutt er mulig å gjøre dette riktig — også i store, komplekse organisasjoner.

Ukens største bevegelse: Larvik kommune tar et stort steg

larvik.kommune.no er ukens klare vinner med en forbedring på +22 poeng, fra 75 til 97 — og løfter seg opp til karakter A+. Det er et betydelig hopp som typisk skyldes at man har strammet inn DMARC-policyen til p=reject og fått på plass støtteprotokoller som MTA-STS eller BIMI. Kommuner håndterer daglig sensitiv korrespondanse med innbyggere, og et slikt løft er et konkret bidrag til tryggere digital kommunikasjon. Se trendoversikten for hvordan kommuner generelt utvikler seg over tid.

Sbanken faller 20 poeng

sbanken.no går motsatt vei og faller fra 75 til 55 poeng — ned til karakter C. Et fall på 20 poeng er sjeldent og kan tyde på at en konfigurasjon har blitt endret eller fjernet, for eksempel en DMARC-policy som er satt tilbake til p=none, eller at SPF/DKIM-oppsettet har fått en feil. For en aktør i finanssektoren, der e-postsvindel er en kjent og konstant trussel, bør dette undersøkes og rettes raskt.

Hva bør du gjøre?

Ser du igjen ditt eget domene på en svak plassering — eller er du usikker på hvordan det står til? Her er de viktigste stegene:

1. Sjekk domenet ditt på data1.no — analysen er gratis og tar sekunder.
2. Start med DMARC på p=none for å samle inn rapporter uten å blokkere e-post.
3. Rett opp SPF og DKIM basert på rapportene, slik at legitim e-post autentiseres korrekt.
4. Stram inn til p=quarantine, deretter p=reject når du er trygg på at all gyldig e-post er dekket.
5. Vurder MTA-STS og TLS-RPT for å sikre at e-post krypteres i transit.

Equinor, Hydro og Yara har ressursene til å fikse dette i løpet av dager. Spørsmålet er om det prioriteres før noen utnytter hull i sikkerheten.